Documentos en la contratación: qué puede pedir RR. HH. y cómo comprobarlos sin archivar copias

En una contratación circulan muchos documentos: el currículum, el DNI o el NIE, la titulación, a veces la vida laboral o un certificado. Casi todos llegan por email, se reenvían al responsable de la selección, luego a administración de personal, y acaban repartidos en buzones y carpetas compartidas.

La guía de la AEPD sobre protección de datos en las relaciones laborales da criterios bastante concretos sobre qué se puede pedir y hasta cuándo. Este artículo los resume y propone una forma de comprobar los documentos al recibirlos sin acumular copias.

Durante la selecciónCopy Anchor Link

La guía de la AEPD parte de una idea clara: los datos del proceso de selección se tratan porque son necesarios para la posible firma de un contrato (art. 6.1.b del RGPD), y por eso no hace falta el consentimiento del candidato. Pero esa base solo cubre lo necesario para el puesto, con los principios de minimización y limitación de la finalidad.

Tres ejemplos de la guía que conviene tener presentes:

• Antecedentes penales. La guía indica que no es legalmente posible exigir un certificado de antecedentes penales a los candidatos, salvo cuando una norma lo contemple. Cita expresamente el trabajo con contacto con menores (art. 13.5 de la Ley Orgánica 1/1996) y determinados puestos en entidades obligadas por la normativa de prevención del blanqueo de capitales.
• Vida laboral. Pedirla es habitual, pero la guía advierte que el consentimiento no es una base válida (no es libre), que la empresa podría justificar un interés legítimo para comprobar la experiencia alegada, y que el informe no tiene por qué ser completo: basta con lo relevante para el puesto. Si la experiencia se puede demostrar por un medio menos invasivo, como una carta de recomendación, no estaría justificado exigirla.
• Custodia. La empresa responde de la documentación que le entregan los candidatos; si se pierde, incumple el principio de integridad y confidencialidad.

Si el candidato no es contratadoCopy Anchor Link

Según la guía, al terminar el proceso sin contratación desaparece la base jurídica. Salvo que la persona consienta (por ejemplo, para una bolsa de empleo) o haya un interés legítimo demostrable, hay que destruir el currículum y suprimir y bloquear sus datos.

Al incorporar a la personaCopy Anchor Link

Con el contrato firmado, la base pasa a ser la ejecución del contrato. La guía enumera datos que pueden tener repercusión directa en las obligaciones de la empresa, entre ellos el número de DNI o de identificación de extranjero y el número de afiliación a la Seguridad Social, la nacionalidad y la fecha de nacimiento (por ejemplo, para el alta y la cotización). No todo dato personal está cubierto: la guía pone como ejemplo que el contrato no legitima por sí solo a pedir cualquier dato de contacto personal, y que hay que ponderarlo caso a caso.

Fíjate en el matiz: lo que se necesita es el número y la comprobación de que es correcto, no necesariamente una imagen del documento. La AEPD ya declaró en la resolución PS-00138-2025 que exigir y conservar la copia del DNI cuando la identidad puede comprobarse sin ella infringe el principio de minimización. Lo explicamos en Copias del DNI y la AEPD.

Cuánto conservarCopy Anchor Link

La guía recuerda que el fin de la relación laboral hace desaparecer la base jurídica del tratamiento, pero que ciertas obligaciones legales exigen conservar datos durante un tiempo, bloqueados (art. 32 de la LOPDGDD): solo disponibles para jueces, fiscalía o administraciones, y destruidos al acabar el plazo de prescripción. Pone ejemplos como los cuatro años de conservación de documentación de afiliación, altas y cotización, o los cuatro años de prescripción de las obligaciones tributarias.

Lo que implica para los documentos de la contratación:

• conserva los datos que te obliga la ley (número de documento, afiliación, contrato),
• decide si necesitas además la imagen de cada documento y, si no, no la guardes,
• y fija un plazo de supresión para lo demás.

Un flujo que no deja copias por el caminoCopy Anchor Link

1. Un solo canal de entrada. En lugar de pedir los documentos por email, un formulario o un enlace de subida. Cada adjunto de correo es una copia en al menos dos buzones.
2. Comprobación al recibir. Que el documento es el que se pidió, que está vigente, que es de esa persona y que el número está bien formado.
3. Solo pasan los datos. A la ficha del empleado va el número comprobado y la fecha de la comprobación; la imagen se descarta, salvo que decidas lo contrario de forma justificada.
4. Lo dudoso, a una persona. Una foto borrosa o un nombre que no coincide no se rechazan solos: los revisa alguien de RR. HH.

Cómo lo hace ConstaiaCopy Anchor Link

Constaia comprueba el documento en el momento de la subida y devuelve un veredicto con motivos. Algunos tipos útiles en contratación: es_dni, es_nie, eu_residence_permit, passport, academic_degree (titulación), es_work_history (vida laboral) y es_social_security_number_document.

import { Constaia } from "@constaia/sdk";
import { fromPath } from "@constaia/sdk/node";

const constaia = new Constaia(); // lee CONSTAIA_API_KEY

const analysis = await constaia.analyze(await fromPath("documento.jpg"), {
  expect: ["es_dni", "es_nie", "eu_residence_permit", "passport"],
  checks: {
    notExpired: true,
    holder: { fullName: "Anna Kowalska" }, // lo que figura en la ficha de la incorporación
  },
  storage: "none",     // el fichero no se guarda
  keepResults: false,  // tampoco los datos extraídos: te quedas tú con lo necesario
  language: "es",
});

// A la ficha, solo lo necesario:
const ficha = {
  documentoComprobado: analysis.verdict?.status === "valid",
  numero: analysis.fields.document_number?.value ?? analysis.fields.nie_number?.value,
  comprobadoEl: new Date().toISOString(),
};

El veredicto invalid llega con el motivo ("Caducado el…", "El titular no coincide…") y review cuando una persona debe mirarlo. Constaia calcula la letra del NIF/NIE y comprueba la MRZ de forma determinista; la IA solo lee y clasifica.

Lo que Constaia no hace:

• No decide si contratar a nadie ni valora candidatos.
• No consulta registros públicos (Seguridad Social, Registro de Penados…).
• No hace reconocimiento facial ni garantiza que un documento sea auténtico.

En resumenCopy Anchor Link

• En la selección, pide solo lo necesario para el puesto; los antecedentes penales, solo cuando una norma lo prevea (por ejemplo, contacto con menores).
• Si no hay contratación, borra la documentación del candidato salvo consentimiento o interés legítimo.
• En la incorporación necesitas números comprobados, no necesariamente copias de documentos.
• Conserva bloqueado lo que exija la ley y suprime lo demás.

Si quieres probar este flujo con tus incorporaciones, crea una cuenta gratis: 150 documentos al mes y claves de prueba que no consumen créditos.